MISE EN SERVICE D UN SWITCH CISCO

Transcription

1 MISE EN SERVICE D UN SWITCH CISCO Table des matières MISE EN SERVICE D UN SWITCH CISCO...1 I. Réinitialisation du commutateur :...2 II. Principales opérations :...2 A. Ouverture/fermeture de session :...2 B. Sauvegarde/Restauration de configuration :...2 III. Consultation de l'état du commutateur :...3 IV. Mots de passe :...3 A. Mot de passe du mode EXEC privilégié :...3 B. Mot de passe de Terminal Virtuel (Telnet) :...3 C. Mot de passe de console :...3 D. Cryptage supplémentaire :...3 V. Création de vlans :...4 A. Création des Vlans :...4 B. Affectation des ports aux différents Vlans :...4 VI. Configuration des vlans sur plusieurs switch :...5 VII. Affectation d'une adresse ip a un vlan :...5 VIII. Sécurité...6 A. Port inactif...6 B. Réservation statique d'adresses...6 C. Réservation dynamique...6 IX. Agrégation de liens (etherchannels)...7 X. Miroir de ports :...7 XI. Filtrage par ACL sur un switch :...7 XII. Récupération d'un désastre (perte d'ios) : Page 1 -

2 I. Réinitialisation du commutateur : Pour remettre à zéro la configuration du commutateur, vous devez appuyer sur le bouton mode à l'avant du switch, puis le mettre sous tension en restant appuyé. Vous obtiendrez un prompt : switch : Vous pourrez alors taper la suite de commandes suivante : flash_init load_helper rename flash:config.text flash:config.text.old boot II. Principales opérations : A. Ouverture/fermeture de session : En fonctionnement normal, après sa phase d'initialisation, le commutateur affiche le message "Press RETURN to get started.". Actionner alors la touche "Entrée" pour passer en mode EXEC utilisateur (invite "Switch>"). Taper "exit" ou "logout" pour terminer une session A partir du mode EXEC utilisateur, passer en mode EXEC privilégié par la commande "enable". Revenir au mode EXEC utilisateur par la commande "disable" ou "exit". Switch>enable Switch#exit Switch>logout B. Sauvegarde/Restauration de configuration : Copie de la configuration de démarrage dans la configuration en cours : "copy start run". Copie de la configuration en cours dans la configuration de démarrage: "copy run start". Copie de la configuration de démarrage sur un serveur TFTP : "copy start tftp". Copie de la configuration en cours sur un serveur TFTP : "copy run tftp". Copie de la configuration de démarrage à partir d'un serveur TFTP : "copy tftp start". - Page 2 -

3 III. Consultation de l'état du commutateur : Show version : affiche la configuration matérielle ainsi que la version et les noms des fichiers de configuration et d'ios. Show flash : affiche des informations sur la mémoire flash. Show running-config : affiche la configuration en cours. Show startup-config : affiche la configuration de démarrage. Show interfaces : affiche les paramètres des interfaces ainsi que des statistiques. IV. Mots de passe : Si aucun mot de passe n'a été configuré, le mode EXEC privilégié ne peut être accessible qu'à partir du port console du commutateur, et donc pas par une session Telnet à partir d'une station. Les commandes de configuration de mot de passe sont à mettre dans le mode de configuration globale (invite "Switch(config)#"). A. Mot de passe du mode EXEC privilégié : La commande suivante obligera à taper un mot de passe pour accéder au mode EXEC privilégié, tant à partir du port console qu'à partir d'une session Telnet. (config)# enable secret password Cette commande utilise un système de chiffrement des mots de passe lors de leur transmission sur le réseau. La commande "enable secret" utilise un chiffrement plus performant que la commande "enable password". B. Mot de passe de Terminal Virtuel (Telnet) : La commande suivante permet de configurer l'accès à partir d'une session Telnet mais votre accès ne fonctionnera pas si vous n'avez pas mis de mot de passe pour le mode privilégié (voir partie A). (config)# line vty 0 1 (config-line)# password motdepasse C. Mot de passe de console : La commande "line console 0" obligera à taper un mot de passe pour accéder au mode EXEC à partir du port console. (config)# line console 0 (config-line)# speed 9600 (config-line)# password motdepasse D. Cryptage supplémentaire : La commande "service password-encryption" permet de crypter les mots de passe lors de l'affichage d'une configuration. - Page 3 -

4 V. Création de vlans : Par défaut, lors de la réception d'un commutateur, tous les ports sont affectés dans le Vlan 1. Ce Vlan nommé "DEFAULT" est le Vlan permettant l'administration du commutateur à partir d'une interface LAN ou WAN. Il n'est pas possible de le renommer. A. Création des Vlans : La création des Vlans se fait à partir du mode EXEC privilégié. Switch#conf t Switch(config)#vlan 10 Switch(config-vlan)#name Comptabilite B. Affectation des ports aux différents Vlans : Pour affecter les différents ports, il faut être en mode configuration globale. L'invite est alors : Switch(config)# et il faut passer en mode configuration d'interface à l'aide de la commande "FastEthernet N port". Switch#configure terminal Switch(config)#interface fastethernet 0/2 Switch(config-if)#switchport mode access Switch(config-if)#switchport access vlan 2 Switch#show vlan L'opération est à répéter pour tous les ports dont on veut modifier le vlan d'appartenance. La commande "Show Vlan" en mode EXEC privilégié permet de vérifier l'affectation des ports. - Page 4 -

5 VI. Configuration des vlans sur plusieurs switch : Lorsque les Vlans sont répartis sur plusieurs commutateurs, un lien particulier est mis en place entre les commutateurs. Ce lien configuré en mode Trunk, transmet la trame en ajoutant 4 octets indiquant le vlan d'appartenance. La configuration de l'interface se fait à partir du mode de configuration globale, par défaut tous les vlans vont être transportés. Switch(config)#interface fastethernet 0/1 Switch(config-if)#switchport mode trunk Si vous voulez transmettre tous les Vlan sauf le Vlan 12, vous pouvez préciser : Switch(config)#interface fastethernet 0/1 Switch(config-if)#switchport trunk allowed vlan except 12 Si vous ne voulez transmettre que certains Vlan (par exemple le 2 et le 3), vous pouvez taper : Switch(config)#interface fastethernet 0/1 Switch(config-if)#switchport trunk allowed vlan add 2 Switch(config-if)#switchport trunk allowed vlan add 3 VII. Affectation d'une adresse ip a un vlan : Si on veut pouvoir administrer un commutateur à partir d'un client Telnet sur un PC, ou par l'une des interfaces LAN ou WAN (ET UNIQUEMENT POUR CETTE RAISON), il faut affecter une adresse IP au vlan d'administration qui est souvent le vlan par défaut. La configuration de l'interface se fait à partir du mode de configuration globale. Switch(config)#interface vlan «n» Switch(config-if)#ip address «ip-address» «ip-mask» Switch(config-if)#no shutdown Il faut ensuite tester le fonctionnement de l'interface en mode EXEC privilégié. Switch#ping «ip-address» - Page 5 -

6 VIII. Sécurité A. Port inactif Switch(config)# interface fastethernet0/12 Switch(config-if)# shutdown ou par plage de ports : Switch(config)# interface range fastethernet0/1-5 Switch(config-if-range)# shutdown B. Réservation statique d'adresses Cet exemple montre comment configurer une "MAC ADDRESS" bloquée statique et une "MAC ADDRESS" bloquée collant sur le port FastEthernet 1 Switch(config)# interface fastethernet0/12 Switch(config-if)# switchport mode access Soit Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-address Soit Switch(config-if)# switchport port-security mac-address sticky Switch(config-if)# switchport port-security mac-address sticky 0008.a343.b581 Switch# show port-security address C. Réservation dynamique Cet exemple montre comment activer la sécurité sur le port FastEthernet 1 et comment fixer le nombre maximum d'adresses apprises. Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 50 Switch(config-if)# switchport port-security mac-address sticky Switch# show port-security interface fastethernet0/1 - Page 6 -

7 IX. Agrégation de liens (Ether Channels) L'agrégation de liens, nommée Etherchannel par Cisco permet de multiplier le nombre de liaisons physique pour augmenter la bande passante, en utilisant ou groupe de ports au lieu d'utiliser des interfaces indépendantes. Dans cette exemple, on agrège les ports gigabit 1/1 et 1/2 et la répartition de charge se fait selon l'adresse MAC de source (peut aussi se faire avec l'adresse MAC de destination) : port-channel load-balance src-mac! interface g1/1 channel-group 1 mode on! interface g1/2 channel-group 1 mode on! int port-channel 1 channel-group 1 mode on! Cette configuration est à répéter sur l'autre commutateur. X. Miroir de ports : Un port miroir permet de renvoyer vers un port le trafic destiné à un ou plusieurs autres ports. Il est souvent utilisé pour analyser les échanges en utilisant par exemple une sonde de type IDS (système de détection d'intrusion). Procédure pour faire un miroir du port f0/1 vers le port f0/2 : (config)# monitor session 1 source interface fastethernet 0/1 (config)# monitor session 1 destination interface fastethernet 0/2 XI. Filtrage par ACL sur un switch : Pour comprendre le fonctionnement des ACL, voir la documentation sur les routeurs Cisco. Le filtrage s'applique de la même manière mais toutes les fonctionnalités ne sont pas implémentées sur les commutateurs (à voir selon les modèles). - Page 7 -

8 XII. Récupération d'un désastre (perte d'ios) : La copie d'un IOS que vous auriez sauvegardé vers le commutateur va se faire par Xmodem en utilisant le port console et un logiciel tel que HyperTerminal ou TeraTerm (vitesse de bauds). En démarrant le commutateur vous arrivez sur le prompt suivant : switch : set BAUD copy xmodem: flash:/votre-fichier-ios.bin (Attente Passer en sur le logiciel) Chercher le fichier avec le menu du logiciel et l'envoyer par Xmodem. reset Après redémarrage, repasser le switch en mode 9600 bauds) : (config)# line console 0 (config-line)# speed Page 8 -